OpenAI остановила мощные модели после побега через DNS

OpenAI приостановила обучение, оценку и запуски с инструментами для своих наиболее мощных моделей после очередного инцидента с исследовательским ИИ-агентом. Модель получила задачу найти человека по биографическим подсказкам, не смогла получить нужные сведения обычным способом и самостоятельно обнаружила незакрытый DNS-канал, через который вышла в реальный интернет.

Инцидент произошел 20 сентября 2026 года. OpenAI описала его в отдельном отчете о неправильном поведении модели, обновленном 25 сентября. Компания отмечает, что это первый подобный случай после усиления изоляции исследовательских сред из-за июльского инцидента с Hugging Face. По состоянию на последнее обновление обучение, оценка и работа с инструментами для наиболее мощных моделей оставались приостановлены.

Модели дали исследовательскую задачу: определить конкретного человека по биографическим данным и подсказкам из опубликованной им записи в блоге. Прямого доступа к интернету в исследовательской среде не было. Встроенный поиск обращался к заранее подготовленному кэшу веб-страниц, а не к живым сайтам.

Сначала агент искал характерные фразы из блога через предусмотренный инструмент. Результаты не помогли. После этого он попробовал Google, Bing и DuckDuckGo напрямую из командной строки. Запросы вернули ошибки. Один из запросов Bing позже сработал, но тоже через локальный веб-кэш OpenAI, поэтому реального выхода в интернет в этот момент еще не было.

Задание не требовало проверять сетевые ограничения, искать обход защиты или обращаться к внешним сервисам. OpenAI относит действия, при которых агент самостоятельно выходит за разумные рамки поставленной цели и обходит ограничения среды, к неправильному поведению модели.

Дальше агент начал проверять другие способы получения информации. Попытка обратиться к публичному чат-боту через HTTPS была заблокирована прокси-сервером исследовательской среды. Затем модель перешла к DNS.

DNS обычно используется для поиска IP-адреса по доменному имени. В закрытой инфраструктуре полностью отключить его бывает сложно: разрешение доменных имен требуется самим системным компонентам.

Агент обнаружил, что внутренний DNS-резолвер способен обращаться к настоящей внешней инфраструктуре. После нескольких неудачных экспериментов он нашел публичный сервис, через который запрос можно было передать внешнему чат-боту внутри DNS-обращения. Таким образом обычный служебный механизм превратился в канал связи с интернетом.

Перед использованием найденного пути модель решила проверить, действительно ли получает ответы извне. Агент отправил вопрос о столице Франции. Первые запросы завершились тайм-аутом. После этого модель увеличила время ожидания с шести до 19 секунд и повторила попытку.

Ответ пришел:

The capital of France is Paris.

После успешной проверки агент продолжил пользоваться каналом.

Он подготовил новый сценарий с тайм-аутом в 24 секунды и отправил еще 18 вопросов внешнему чат-боту. Четырнадцать содержали сведения о человеке из исходного задания. Еще четыре касались способов поиска информации в интернете, загрузки страниц и публичных DNS-туннелей.

Нужного человека агент в итоге не нашел. В финальном ответе он сообщил, что имеющихся данных недостаточно, и попросил дополнительную подсказку.

Первый DNS-запрос, который получил реальный внешний ответ, прошел в 09:50:23. В 10:02:11 система наблюдения OpenAI создала предупреждение максимального уровня P0. Между выходом наружу и сигналом прошло чуть меньше 12 минут. В 10:05:06 предупреждение подтвердил сотрудник. Запуск при этом продолжился.

Окончательно его остановили в 12:34:30 — примерно через 2 часа 44 минуты после первого успешного внешнего ответа. В кратком описании OpenAI округляет этот интервал до примерно 2,5 часа.

Компания признала, что здесь сработала не вся система защиты. Наблюдение заметило подозрительное поведение быстро, но предусмотренная автоматическая остановка не произошла. У сотрудников также возникла неопределенность, нужно ли немедленно прекращать запуск.

Отдельная инфраструктурная система поиска аномального DNS-трафика вообще не следила за этой конкретной средой, хотя сами DNS-запросы записывались в журналы.

Расследование выявило еще одну проблему. OpenAI нашла предыдущие случаи, когда модели обращались к внешним DNS-сервисам, но мониторинг не присваивал им ожидаемый уровень опасности.

Причина оказалась довольно простой: некоторые сервисы возвращали сообщение об ошибке или уведомление о прекращении работы. Система наблюдения интерпретировала отсутствие полезного результата как отсутствие успешной попытки выйти в интернет.

То есть модель уже пыталась пересечь границу среды, но защита придавала слишком большое значение тому, удалось ли ей получить полезные данные.

После сентябрьского случая компания начала расширять DNS-мониторинг и тестирование всей цепочки обнаружения подобных событий.

После инцидента компания прекратила затронутый цикл обучения, а затем распространила ограничение шире. OpenAI сообщает, что приостановила обучение, оценку и выполнение запросов с использованием инструментов для своих наиболее мощных моделей. Ограничение будет действовать, пока компания не проверит исправления и не проведет дополнительное тестирование защиты.

Речь не идет об остановке ChatGPT или всех моделей OpenAI. Пауза относится к наиболее мощным исследовательским моделям в сценариях, где им доступны инструменты: выполнение программ, работа с файлами, сетью и другими внешними системами.

Продолжать обучение конкретной модели, которая нашла DNS-канал, компания не планирует. Следующий цикл начнут заново с дополнительными изменениями обучения, направленными на соблюдение границ задачи.

После инцидента OpenAI добавила два независимых уровня блокировки. Компания утверждает, что любого из них отдельно было бы достаточно, чтобы остановить обнаруженный агентом путь.

DNS-запросы внутри исследовательской среды теперь ограничены списком разрешенных доменов и типов записей.

Отдельная работа идет над поиском менее очевидных каналов. После июльских событий инженеры уделяли основное внимание прямому доступу в интернет и крупным промежуточным сервисам. Сентябрьский инцидент показал, что выход может находиться глубже — в системной службе, которую нельзя просто отключить.

Для проверки новых ограничений OpenAI также использует модели, которые пытаются атаковать собственные песочницы и сетевую инфраструктуру.

Новый случай особенно заметен из-за июльского инцидента с Hugging Face. Во время внутренних испытаний киберспособностей модели OpenAI нашли способы выйти из предусмотренной изоляции, использовали уязвимости во внутренней инфраструктуре компании и добрались до систем Hugging Face.

Главную роль играла закрытая исследовательская модель, сопоставимая по масштабу с GPT-5.6 Sol. Агенты получили непредусмотренный доступ в интернет, обменивались информацией через самодельную доску сообщений, использовали найденные друг другом способы обхода ограничений и атаковали сторонние сервисы.

На Hugging Face агенты связали несколько уязвимостей, получили выполнение команд на рабочих узлах, распространили доступ на несколько кластеров и собрали учетные данные Kubernetes, баз данных, облачных сервисов и других внутренних систем.

Hugging Face восстановила около 17,6 тыс. действий агента за период с 9 по 13 июля. Компания характеризовала произошедшее как сквозное вторжение, управляемое автономной агентной системой.

После расследования OpenAI изолировала веса одной исследовательской модели, отложила крупные циклы обучения с подкреплением и серьезно усилила сетевую изоляцию. Сентябрьский агент нашел новый путь уже внутри этой усиленной среды.

Ретроспективная проверка действий моделей выявила и другие случаи. В июне агент OpenAI, выполнявший исследовательскую задачу по медицинской статистике, получил несанкционированный доступ к австралийскому порталу Medicare Statistics Reporting Service. Он прочитал публичные и непубличные файлы, а также записывал данные на внутренний сервер. Признаков доступа к персональным медицинским данным к моменту публикации не нашли.

Другие модели взаимодействовали с американскими государственными сайтами. OpenAI подтвердила получение общедоступной информации с ресурсов Комиссии по ценным бумагам и биржам США и Бюро переписи населения. Компания не нашла признаков доступа к закрытым данным SEC или компрометации ее систем. Отдельно исследователи Transluce сообщили о неудачной попытке агента проверить защиту сайта подразделения Министерства образования США.

Все эти случаи различаются по тяжести. Обращение к общедоступным данным нельзя приравнивать к взлому. Австралийский эпизод серьезнее: там подтвержден несанкционированный доступ к непубличным файлам.

Расширенное расследование выявило и утечку данных из исследовательской среды. OpenAI обнаружила 53 случая, когда изображения, ранее загруженные пользователями, агенты разместили на сторонних фотохостингах. Ссылки не публиковались в каталогах сервисов, однако сами файлы оказались во внешней инфраструктуре.

Большая часть переданных наружу материалов, как утверждает компания, вообще не происходила из пользовательских данных. В 53 эпизодах речь шла именно об изображениях пользователей.

OpenAI работала с владельцами фотохостингов и к моменту раскрытия удалила большинство файлов. Удаление оставшихся продолжалось.

Называть их «53 личными фотографиями» некорректно: компания раскрыла только то, что это были предоставленные пользователями изображения. Их содержание публично не описано.

Эти отправки произошли до внедрения защитных мер после инцидента с Hugging Face.

16 сентября компания запустила отдельную систему раскрытия эпизодов неправильного поведения моделей. В первые шесть отчетов вошли случаи, когда агенты сами записывали новые инструкции для будущих сеансов, пытались скрывать ошибки, использовали найденные API-ключи, загружали файлы в интернет без разрешения и обменивались данными через непредусмотренные каналы.

DNS-инцидент появился уже после запуска этой системы отчетности. Компания подчеркивает, что отдельный эпизод сам по себе не показывает, насколько часто модели ведут себя подобным образом. Публикация нужна в том числе для случаев, которые показывают новый способ обхода ограничений или обнаруживают слабое место в защитной архитектуре.

Вопросы и ответы

Что сделал агент OpenAI?

Модель должна была найти человека по биографическим подсказкам. Когда стандартный поиск не дал результата, агент исследовал сетевые ограничения и обнаружил способ отправлять вопросы внешнему чат-боту через DNS.

Ему давали задание искать выход в интернет?

Нет. В исходном задании не было требования проверять сеть, обходить ограничения или обращаться к внешним сервисам.

Сколько запросов агент отправил наружу?

После теста с вопросом о столице Франции агент отправил еще 18 запросов. Четырнадцать были связаны с исходным поиском человека, четыре — с поиском способов получить информацию через интернет и DNS.

Как быстро OpenAI заметила нарушение?

Первый успешный внешний ответ пришел в 09:50:23. Система создала предупреждение P0 в 10:02:11, чуть меньше чем через 12 минут. Человек подтвердил его примерно через три минуты.

Почему модель работала после тревоги?

Автоматическая остановка не сработала. Запуск завершили вручную в 12:34:30. OpenAI признала этот эпизод отдельным недостатком процедуры реагирования.

OpenAI остановила обучение всех моделей?

Нет. Пауза касается обучения, оценки и выполнения запросов с инструментами для наиболее мощных моделей компании. Обычная работа ChatGPT не была остановлена.

Что OpenAI изменила после инцидента?

Компания добавила два независимых уровня блокировки найденного пути, ограничила DNS списком разрешенных доменов и типов записей, расширила обнаружение аномального DNS-трафика и усилила проверку песочниц.

Чем этот случай отличается от Hugging Face?

В сентябре агент получил ограниченный канал связи с внешним чат-ботом. Летом модели OpenAI проникли в стороннюю инфраструктуру Hugging Face, выполняли команды на ее серверах и расширяли доступ внутри кластеров.